Homebrew'u ölçekte yönetmek: seçenekleriniz
Homebrew, bir geliştirici Mac'indeki en büyük yönetilmeyen yazılım kanalıdır. Her kurum eninde sonunda bunu bir şekilde ele alır — yaygın yaklaşımların karşılaştırması aşağıda.
Homebrew'u tamamen engellemek
Bu içgüdü anlaşılır: yönetilmeyen paket kurulumları risk gibi görünür, o hâlde araç engellenir. Pratikte geliştiriciler engelin etrafından dolaşır — kişisel makineler, elle indirilen araçlar, curl ile çalıştırılan kurulum betikleri — ve kurum, kazanmaya çalıştığı görünürlüğü kaybeder. Bunun neden hep geri teptiğini yazdık.
Homebrew'u engellemek neden işe yaramaz →Tek başına MDM
MDM cihaz güvenlik duruşu için vazgeçilmezdir; ancak Homebrew paketlerini — envantere alıyorsa bile — ancak kurulduktan sonra görür. Formül, sürüm kısıtı veya lisans kuralı kavramı yoktur ve kurulum anında hayır diyemez. MDM "makinede ne var" sorusunu yanıtlar, "makineye ne girebilir" sorusunu değil.
Genel amaçlı bir artifact aynası
Homebrew'u genel amaçlı bir artifact deposuna yönlendirmek bottle'ları ağınız içinde önbelleğe alır; bant genişliği ve erişilebilirlik için faydalıdır. Ama brew'dan habersizdir: formül bazında izin/engel kuralları, cihaz grupları, denetim kaydında kullanıcı eşlemesi ve filo genelinde neyin kurulu olduğuna dair bir görünüm yoktur.
Wiki politikaları ve betikler
Onaylı araçların belgelenmiş bir listesi ve periyodik denetim betikleri hiç yoktan iyidir; ama bu, umuda dayalı bir uygulamadır. Kurulum gerçekleştiği anda hiçbir şey onu durdurmaz ve uyumluluk denetimi için kanıtın elle yeniden derlenmesi gerekir.
Bu iş için tasarlanmış bir kontrol düzlemi
EnterpriseBrew, Homebrew'a hak ettiği gibi davranır: diğerleriyle aynı kontrolleri hak eden birinci sınıf bir yazılım tedarik zinciri. Geliştiriciler bildikleri brew install akışını korur; BT ve güvenlik ekipleri şunları kazanır:
- ✓Kurulum anında sunucu tarafı politika: cihaz grubu bazında izin listeleri, engel listeleri, kategori, asgari sürüm ve SPDX lisans kuralları.
- ✓Her kurulum gerçek kullanıcı ve makine adıyla denetim kaydına geçer — SIEM'inize aktarılabilir, SPDX/CycloneDX SBOM olarak dışa aktarılabilir.
- ✓Kurulum istekleri onaylanmadan önce erişilebilir en iyi zafiyet verisiyle karşılaştırılır; bilinen istismar edilmiş zafiyetler doğrudan engellenir.
- ✓Önbellekli proxy ya da tamamen kendi altyapınızda / hava boşluklu kurulum — paket baytları bütünüyle ağınızın içinde kalabilir.
- ✓Zaten kullandığınız MDM'den cihazları ve grupları senkronlar; onun yerine geçmez.
- ✓Homebrew standart önekinde kalır: bottle'lar, betikler ve CI olduğu gibi çalışmaya devam eder; geliştiriciler yalın brew akışını korur.